Che cos'è JWT Decoder?
JWT Decoder analizza i JSON Web Token nelle loro tre parti, così puoi esaminare header, claim del payload, algoritmo e segmento della firma. È utile per il debug dell'autenticazione, i controlli di scadenza e per capire cosa contiene realmente un token senza inviarlo a un server.
Come usare JWT Decoder
- Incolla il JWT nell'area di input.
- Esamina le sezioni header e payload decodificate.
- Controlla claim come exp, iss, aud, sub e campi personalizzati.
- Copia i valori decodificati o confrontali con le aspettative del tuo flusso di autenticazione.
Comprendi i JWT ▾
Esempio
Casi d'uso comuni
- Ispeziona i claim del token durante il debug di API e autenticazione
- Verifica i valori di scadenza, emittente, audience e soggetto senza strumenti backend
- Verifica quale algoritmo di firma e struttura del token sta usando un sistema
- Spiega come si combinano i segmenti header, payload e firma del JWT
Perché usare questo strumento
- Aiuta a eseguire il debug di flussi di login, autorizzazione API e problemi di scadenza dei token.
- Rende la struttura JWT più facile da spiegare a colleghi e stakeholder.
- Funziona localmente, quindi i token incollati non vengono caricati durante l'ispezione.
Domande frequenti
Sì. La decodifica avviene interamente nel browser e il token non viene mai inviato a un server. Tuttavia, evita di incollare token di produzione con claim sensibili in qualsiasi strumento pubblico, a meno che tu non sia certo che sia solo lato client.
No. La verifica della firma richiede il secret (HMAC) o la chiave pubblica (RSA/EC). Questo strumento decodifica solo header e payload codificati in Base64URL; la verifica deve avvenire sul tuo server.
Il claim exp è un timestamp Unix che indica quando il token smette di essere valido. Se l'ora corrente supera quel timestamp, il server rifiuterà il token e dovrai autenticarti di nuovo.
I cookie di sessione memorizzano un ID di sessione sul server e lo cercano a ogni richiesta. I JWT sono autonomi: tutti i claim sono nel token stesso, quindi non serve archiviazione di sessione lato server. Questo rende i JWT utili in sistemi distribuiti senza stato.